hash - 强制使用复杂密码 "more important"比加盐好吗？

Question

在过去的 2 个小时里，我一直在阅读加盐密码，以确保我理解了这个想法。我希望你们中的一些人可以分享你对我的结论的了解。

如果我是攻击者，并且可以访问用户数据库，那么我可以获取表中存在的所有每个用户的盐并使用它们来创建我的彩虹表。对于大表，这可能需要很长时间。如果我可以将列表缩减到感兴趣的用户(管理员、模组)，我可以使用更大的字典列表来创建彩虹表，从而提高我的点击率......

如果这是真的，那么盐渍似乎真的没有多大帮助。它只会略微减慢攻击者的速度。

我知道理想情况下您会想要强制使用复杂的密码并使用唯一的随机字符串对其进行加盐，但是强制使用复杂的密码会惹恼用户(我知道这让我很恼火)，因此很多网站都不会这样做。网站似乎正在为此损害用户的利益，并且强制使用复杂的密码比良好的加盐方法重要得多。

我想这不是一个问题，而是要求其他人了解情况。

Answer 1

盐的重点是攻击者不能再使用 已有 字典攻击您系统中的任何用户。他们必须使用该用户的盐为每个用户创建一个全新的字典，这需要时间和精力。如果您在为系统的所有用户创建字典之前就发现了违规行为，那么您就有时间采取行动。 (提醒用户必须更改他们的登录凭据，这应该会生成一个新的随机盐。)

我会说你应该同时使用盐和用户可以容忍的最复杂的密码(实际上是密码)。即便如此，加盐仍然是一项基本的安全措施，没有它你真的无法承受。